Um único plugin pode substituir vários plugins de segurança do WordPress?

Por que isso importa

A segurança no WordPress costuma crescer uma preocupação de cada vez. Os bots encontram a página de login, então você adiciona um plugin para ocultá-la. Depois vem a adivinhação de senhas, então um plugin de limite de login. Depois um plugin de 2FA, um plugin para desligar o XML-RPC, um serviço contra spam nos comentários, um honeypot para cada plugin de formulário, algo para os cadastros falsos e algo para os bots agressivos.

Cada um desses plugins faz sentido sozinho. Juntos, eles causam problemas mais silenciosos:

• Muitos registros separados. Um login bloqueado fica em um plugin, um cadastro bloqueado em outro, um bot bloqueado em um terceiro. Ninguém vê o quadro completo.
• Muitas listas de permissões. Você libera seu próprio IP em um lugar e acaba bloqueado por outro.
• Visões diferentes do mesmo visitante. Um plugin lê o IP real atrás da Cloudflare, outro lê o do proxy. Um bloqueia um bot, o outro bloqueia todo mundo.
• Mais coisas para atualizar. Cada plugin é código para manter em dia, e mais portas para vigiar.
• Conflitos. Dois plugins reescrevendo a URL de login, ou os dois contando o mesmo login com falha, produzem bugs estranhos.

Erros comuns

• Trocar tudo de uma vez. Migre um trabalho por vez e teste entre um e outro.
• Perder as configurações no caminho. Anote seu antigo caminho de login oculto, os IPs na lista de permissões e os limites antes de desativar qualquer coisa.
• Deixar uma brecha. Se a configuração antiga fechava o XML-RPC e a nova ainda não fecha, você abriu uma porta. Ative a nova camada antes de desativar o plugin antigo.
• Esperar que um plugin faça tudo. Nenhum plugin cobre igualmente bem a limpeza de malware, as regras de firewall, os backups e a blindagem do login. Tenha claro qual trabalho cada ferramenta faz.

Sem plugin

Você pode reduzir o número de plugins sem nenhum plugin novo, levando os trabalhos simples para o código:

• Login via XML-RPC: o filtro xmlrpc_enabled (veja como desativar o XML-RPC).
• Vazamentos de nomes de usuário: alguns filtros para a REST, as varreduras de autores e o sitemap (veja como esconder os nomes de usuário).
• Comentários: feche-os em Configurações → Discussão se você não precisa deles.

Cada trecho é pequeno, mas juntos eles formam um plugin personalizado que só você mantém, sem registro, sem lista de permissões compartilhada e sem testes. Essa troca pode valer a pena para um desenvolvedor com um site. Fica mais difícil a cada site que você administra.

Se algo der errado

• Você não consegue acessar depois de trocar de plugin de ocultar login. O caminho do plugin antigo não funciona mais. Adicione define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' ); ao wp-config.php ou veja Sem acesso depois de mudar a URL de login.
• Os formulários pararam de enviar. Duas camadas antispam podem estar verificando o mesmo formulário. Desative o antigo complemento de honeypot e depois limpe o cache de página.
• Os bloqueios dobraram. Dois plugins de limite de login estão contando as mesmas tentativas. Desative o antigo.

Com o Hushfort

O Hushfort (o Hushfort Security, o plugin de segurança gratuito para WordPress, mais o complemento Hushfort Pro) reúne dez trabalhos em um só plugin: Ocultar Login, Limites de Login, Dois Fatores, Trava de Backdoor para o XML-RPC, Escudo de Nomes de Usuário, Varredura de Superfície, Antispam, Bloqueio de Cadastros Falsos, Proteção contra Flood e Bots Falsos e Faxina. Cada um é um módulo que você ativa separadamente. Ocultar Login, Varredura de Superfície e a proteção básica contra spam são gratuitos; as demais camadas vêm com o Hushfort Pro.

• Um painel com um cartão de status por camada.
• Um Histórico filtrável das tentativas com falha e bloqueadas.
• Uma leitura de IP e uma lista de permissões compartilhadas por todos os módulos.
• Sem serviços de terceiros, sem CAPTCHA, sem telemetria.

O que ele não faz, dito com clareza: busca de malware, conjuntos de regras de firewall, bloqueio por país, backups. Mantenha ferramentas dedicadas para isso; o Hushfort combina bem com elas.